• 



© REPUBUQUE FRANQAISE © W de publication : 2 597 142 

<• n'taffis* quo pour las 

INSTTTUT NATIONAL conmmxtes <te raproduetiori 

OE LA PROPRIETY INDUSTRIELLE ^ 

_ £l) N- d-snregistremsnt national : 87 0497 1 

PARIS 

@ Int CI* : E 05 B 49/00, 19/16. 



® 



DEMANDE DE BREVET D'INVENTION 



A1 



@ Data de depot : 8 avra 1987. 

© Priorite : US, 8 avril 1986. n° 849 472. 


© Demandeurfc) : Socteti dlte : SCHLAGE LOCK COM- 
PANY. — ua 


@ Data da la mise a disposition du public de la 
demand© : B0P1 1 Breveta » n° 42 du 16 octobre 1987. 


@ Invantaurts) : Victor H. Vee. Thomas W. Crosley, Ronald 
D. Lichty. Wayne Davison. John R. Goldberg. Leonard L 
Hofheins, Charles A VoDum et Stephen H Voftum, 


@ References a d'autres documents nationaux appa- 
rsntas : 


@ Titulairets) : 

© Mandataire(s) : Cabinet 8eau de Lomenfa. 



Systems de serrure electronique cryptographtqua et precede de fonctionnement. 



CM 



La presents invention conceme un systems de semi re 
' s fonctionner sur la base du codage et de (a verifica- 
tion d*un message de donnees porte par un milieu cfenregis- 
trarnani discret teDe qu'une carte magnetique 32. comprensnt 
un premier moyen d'ordtnateur adapt6 a appltauer tine clef 
cryptographicnie privee pour coder le message da donnees; 
des moyens 27 pour ecrire le message do donnees codees sur 
le rreieu; des moyens ds serrure 30 comprenant un verrou 33. 
cette senure agtssant en rsponse a la verification du message 
de donnees codees pour ouvrir le verrou: et un second moyen 
d*onfinataur dans la serrure pour appfiquer une clef de crypto- 
graptue pubQque eu message de donnees codees pour verifier 
te message de donnees. 



J 



: ZB 1 1 r " 

□□□□I I 



u> 

CM 

DC _ 
11. D 



BEST AVAILABLE COPY 



Vanta dN fnefcutet 4 I IMPRIMER1E HATIONALE. 27. roe de la Convention _ 75732 PARS CEDEX 15 



2597142 



U8 



fhemCer 



Serrure- 



Se/ooncf 





S&xmd 


N| 





N 2 



Premier 


second 







n 3 



FIG. I 

£(ef_ 
homier 



Premier 


Second 


N 2 






Premier 


Second 


N 2 





Premier 




Ni 


N2 




Premier 


feco/tc/ 


N2 


N 3 




Premier 


Second 


N 2 


N 3 




Premier 


Second 


N 2. 


N 3 



-Terr u re- 



Premier 


Second 


N | 


N 2 



Second 



Avant Af>r€r 



N 2 



Trvfri erne.- nan, utilize. 



Premier 


SkcOftd 


« 3 


N 4 



N 2 



N 3 



Premier 


Second 


N 4 


N 5 



N 2 



N 3 



FIG. 2 



-Terrure- 





recoup 1 




N 2 | 






i n 2 


N 3 



Ave* at 



A/>reT 



N, 



n 2 



PrzjniW 


Second 


N| 


N 2 





Second 




N 2 





tecond 


N 2 


N 3 







! "3 


N 4 




1 pmmier] PejLond 


1 N 4 


1 "5 


FIG. 


3 



Premier 


Second 


n 2 


N 3 




Premier 


second 


n 2 


"3 



n 2 1 n 3 " 



Premier 




N 2 


N 3 



noty 




out 






oaf 




out 



Serrur^- 



\ out | 1 <>w' | 



-Te.rrur&- 



j Notl uftfi se! I 



2597142 



2/8 




aaciacinacjotzi 

□□□□DDDaDD 
□ □DDDODDD 



T 
24 



□ □□□ 

□aaa 
□□□n 

— 1 

28 



FIG. 4 



26 



m - 



-6 



6- 



FIG. 5 



3/8 




CJ 

ro 
m 

co 

o 
2 



—> 

.-,roro 



CD 

GO 00 

OJoJoJcncvj 

— o ® 

CJtMOJCMiDOif) 

rooromm 



"in 



to 

00 

r- 
co 
oo 

CJ 



CD 
Ll. 



o 
o 



2597142 



4/8 




octets* 



SYNC 



TYPE 
LRC 



IOI 



I02- 



1 03 



Octets 
I 

4 



2 
I 



36 



ID. & 



Sequence^ 2x>ne- com . 



MESSAGES 



LRC 



FIG. 8 



FIG. 9 



2597142 



6/8 




2597 142 



7/8 








1* 








4 


To,"/ 















o 
cd 












o 






o 


g 






o 









O 



















8/8 



2597142 



VS-h 



VBATT 



OBIRQ 



-« 




-VS + 
-VB + 

-VC + 



1I2 



VS+- 



PC0-3 <<r " 



PA 7 



PB0 • 



57 4 



PB7 



117- 



106 



105 

/ 



VB+ 



STBY 
CTRL 



ENAB IRQ 
AD0 
AD7 




■114 
115 



107 

VS+ 



ENAB 



RXDI- 



PD4 



PD3 



LPD 5 



VS+ 



" V 1 



TXDl 



GND 



CLX1 



109 



108 



116 



FIG. 13 



1 



2597142 



SYSTEME DE SERRURE ELECTROKIQUE CRYPTOGRAPH IQUE 
ET PROCEDE DE FONCT IONH EMENT 



La presente invention concerne des serruress electroni- 
ques et des systemes de verrouillage electronique, des systemes de 
verrouillage electronique qui utilisent des cartes servant de 
clefs codees a distance et, en particulier, un systeme de 
verrouillage electronique qui utilise une cryptographie a clef 
publique. 

Le procede de fonctionnement d'une serrure electronique 
et de raise a jour des informations de programme dans cette serrure 
sur la base des informations codees dans une carte servant de clef 
(carte-clef ) r c'est-a-dire sans communication directe avec l'ordi- 
nateur utilise pour coder la carte-clef, est limite par plusieurs 
facteurs. Ceux— ci coraprennent la relativement faible quantite" de 
memorisation de donnees qui est disponible sur la carte-clef et 
dans la serrure electronique elle-raeme, et les capacites limitees 
de vitesse et de calcul des microprocesseurs qui sont utilises 
dans de telles serrures. Ces limitations d'espace et de calcul 
sont tres importantes quand on considere que la carte-clef doit 
contenir un certain type de code ou de combinaison d* identification 
secret, ainsi que des instructions pour actionner une ou plusieurs 
serrures choisies (ou erapecher leur actionnement) et en ce que la 
serrure doit a la fois vaiider la carte et mettre en oeuvre les 
instructions. 

A ce jour r seulement quelques systemes viables possi- 
bles sont disponibles et utilisent une carte-clef programmee a 
distance pour commander le fonctionnement mecanique et la program- 
ma tion d'une serrure electronique. Ces approches anterieures sont 
notamment decrites dans les brevets des Etats-Unis d'Amerique No 
3 800 284 de Zucker, 3 860 911 de Hinman, 3 821 704 et RE 29 259 
de Sabsay, et 4 511 946 de McGahan. 

Dans le systeme decrit dans le brevet de Zucker, a 
tout instant donne avant la reprogr animation par une nouvelle 
clef, la serrure contient deux types d* informations de codes : 
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premie reraent, le numero de code precedent et deuxieroement le 
numero de code sequentiel suivant. La clef est codee par une 
combinaison unique. Ce systeme est concu de sorts que, de facon 
supposee, quand une nouvelle clef valide convenablement sequencee 
est fournie, la combinaison de clef s'adapte a la combinaison 
sequentielle suivante de la serrure et araene la serrure a s'ouvrir 
et a se reprogrammer . Pendant la reprogrammation, un genera teur de 
fonction dans la serrure utilise la combinaison precedemment 
mentor i see dans la serrure pour produire une combinaison en cours 
et la combinaison sequentielle suivante. Lors d'un usage suivant 
de cette meme clef, la serrure s'ouvrira parce que le premier code 
de serrure est egal au code de clef en cours. Toutefois, la 
serrure n'est pas recombinee ou reprogrammee a ce moment car la 
nouvelle combinaison sequentielle a deja ete re-sequencee et n'est 
plus egale au code de clef. Apres recombinaison par la nouvelle 
clef, le code de serrure en cours n'est plus egal au code de la 
clef inna&a iatement precedente et, en consequence, cette clef 
n'ouvrira plus la serrure. 

Le systeme de Hinman utilise deux corabinaisons, a la 
fois dans la serrure et dans la clef, mais il fonctionne de facon 
similaire a celle utilised par Zucker - 

Le verrou electronique deer it dans le brevet de Sabsay 
est 1» inverse de celui utilise par Zucker en ce qu'on attribue a 
la serrure une seule combinaison alors que la clef coraprend deux 
champs ou comb inai sons . Les champs de la clef sont : un premier 
champ ou numero d'autorisation qui est le code precedemment 
autorise, et un second champ ou numero de clef qui contient le 
code autorise" en cours. Quand une clef est presentee a la serrure, 
si le second champ ou champ "en cours" egale le numero de la 
serrure unique, la serrure s'ouvre. Si le code "precedent'* dans le 
premier champ d'autorisation est egal au numero de serrure, la 
serrure se recombine et s'ouvre. Quand une nouvelle clef est 
presentee a la serrure, le code precedent dans le premier champ de 
la clef doit etre egal au numero de serrure en cours de sorte que 
la serrure se recombine et s'ouvre. Apres quoi, chaque fois que 
cette clef est utilisee (avant recombinaison par la clef suivante) 



2597142 



3 

le numero de serrure mis a jour sera egal au code en cours dans le 
second champ de la clef et la serrure s'ouvrira mais ne se 
recombinera pas . 

Le brevet de McGahan utilise des premiere et seconde 
5 combinaisons dans la serrure ainsi que dans la clef. Les combinai- 

sons de la serrure et de la clef sont sequentielles en ce que la 
seconde comb inai son est le numero sequentiel suivant au-dessus de 
la premiere combinaison. Pendant une utilisation, si la premiere 
combinaison de clef est egale a la premiere combinaison de serrure 
10 et si la seconde combinaison de clef est egale a la seconde 

combinaison de serrure, la serrure s'ouvre. Si cette egal i be 
n'existe pas r ma is que la premiere combinaison de clef est egale a 
la seconde combinaison de serrure, la serrure s'ouvre et se 
recorobine. Ainsi, quand la clef suivante convenablement sequencee 
15 est presentee a la serrure, la premiere combinaison de clef sera 

egale a la seconde combinaison de serrure et la serrure s*ouvrira 
et se recombinera . Ensuite , jusqu • a ce qu 1 une nouvelle clef 
recombine la serrure, les premiere et seconde combinaisons de 
serrure et de clef sont egales et la clef en cours ouvrira la 
2° serrure mais ne l'amenera pas a se recambiner. Les clefs 

anterieures ne pourront pas ouvrir ou recombiner la serrure car ni 
l'une ni 1 'autre des deux egalites requises n 'existent entre les 
codes de serrure et de clef. 

Toutefois, a la connaissance des demandeurs, aucun des 
25 sy st ernes de serrure electronique presentement disponibles, y 

compris le systeme de McGahan n'e limine le probleme de la raise en 
sequence qui prend place quand la sequence de clefs et la sequence 
de serrure se decalent, par exemple parce que I'on n* utilise pas 
une carte ' dument fournie et sequencee. Cette situation est 
3° representee dans les figures 1 a 3 pour Zucker, Sabsay et McGahan, 

respectivement. Dans chaque cas, des premiere et seconde clefs 
validement fournies et sequencees sont utilisees de facon prevue 
et recombinent la serrure comme cela est programme. Toutefois, la 
troisieme clef qui est egalement validement fournie et sequencee 
35 n'est pas utilisee. Ceci peut survenir siroplement parce qu'un 

client n* entre pas dans sa chambre ou n' utilise pas une chambre 
particuliere dans une suite de chambres. 
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Quelle que soit la raison, apres que l'on a manque d'utiliser la 
troisieme carte-clef dument fournie, la quatrierae carte et la 
suivante n*actionneront pas la serrure. 

En outre, dans le systeme de serrure electronique 
existant, la fonction de securite et les fonctions d' actionnement 
sant en competition en raison de l'espace limite disponible dans 
la carte-clef et la serrure, d*ou il resulte que l'une ou l'autre 
ou les deux fonctions peuvent etre limitees a un degre indesirable 
ou inacceptable . Par exemple , on souhaite disposer d 1 une large 
selection d' utilisation de serrures possibles, telle que des 
niveaux clients, des niveaux de suite, des zones communes, etc. 5 
et pouvoir acceder a ces differentes comb inai sons de serrure ou de 
niveaux de serrures au moyen d'une carte-clef unique. A ce jour, 
les limitations physiques inner en tes des cartes-clefs et des 
serrures electroniques ont limite meme les systeme s de verrouilla- 
ges electroniques les plus souples a un choix unique au niveau 
d'une serrure quelconque entre huit ou neuf niveaux raaxtres 
possibles et commande par une quelconque carte individuelle d'un 
niveau ou serrure maltre unique. 

Au vu de ce que precede, un objet de la presente 
invention est de prevoir un systeme de verrouillage electronique 
et un procede d' actionnement du systeme dans lequel la securite 
est prevue par une cryptographie a clef publique. 

Un autre objet associe est de prevoir un tel systeme 
de verrouillage electronique et son procede de fabrication dans 
lequel la fonction de securite est separee des messages portes sur 
la carte-clef codant le champ de . message en utilisant une 
cryptographie nuraerique du type signature. 

Un autre objet associd de la presente invention est de 
prevoir un systeme de verrouillage electronique et son procede 
d' actionnement dans lequel une carte-clef communique avec la 
serrure electronique au moyen d'un protocole souple accroissant 
ainsi le nombre d'operations qui peuvent etre realisees au niveau 
de serrures individuelles et commandees ou effectuees par des 
clefs individuelles. 

Dans un premier mode de realisation, la presente 
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invention imp li quo le procede de chiffrage du champ de message 
d'une carte-clef en utilisant: une cryptographie a clef publique, 
puis le dech iff rage du message de carte codee au niveau de la 
serrure pour valider le message avant sa raise en oeuvre. 

Dans un mode de realisation actuellement prefere, le 
systeme et le procede de verxxmillage electronique selon 1* inven- 
tion utilisent un nombre x et une fonction modulo/ x* mod n = id, 
ou n est la clef publique et m est le message. Le message code ou 
signe x est transmis par 1 * in termed iaire de la carte-clef a la 
serrure qui dechif f re ou decrypte le message de carte sousjacent m 
a partir du message chiffre x en calculant x z mod n* 
Dans un mode de realisation specif ique concu pour 
facillter le calcul de x, une clef privee est utilises qui 
comprend une pa ire de nombre s premiers p et q qui sont determines 
de sorte que m - pq. La clef publique est determined de sorte 
qu*elle comprend seulement deux facteurs : les clefs privees p et 
q. Le message chiffre* x est calcule a partir du message m en 
calculant x mod n. Ce calcul peut etre realise en une duree 
raisonnable en utilisant les clefs privees p et q. 

L' utilisation ci-dessus d'une cryptographie a clef 
publique permet 1 'utilisation d'un protocole de communication 
souple qui assure lui-meme de nombreux avantages decrits ci-apres. 

En outre » 1* invention comprend diverses fonction3 
specif iques de circuit electronique et de serrure roecanique 
decrites ci-apres. 

Ces objets, caracteris tiques et avantages de la 
presente invention seront clecrits plus en detail ci-apres en 

relation avec les dessins joints parmi lesquels : 

Les figures 1 a 3 representent trois approches 

class iques de val ida tion de clefs et de recombinaison et 

d'ouverture de serrures en reponse et deer it le pr obi erne de 

sequencement qui resulte couramment du fait qu'une clef valide 

n'est pas utilisee f 

La figure 4 est une representation schema tique du 

systeme de verrouillage electronique d' ensemble selon la presente 

invention * 
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La figure 5 represente schematiquement l'approche de 
cryptographie a clef pub Li que qui est incorporee dans le systeme 
de verrouillage electronique selon 1' invention et utilisee dans 
son fonctionnement f 

La figure 6 represente le programme de multiplicity 
reiterative pour reduire la memo ire de la serrure et le calcul 
dans la serrure requis pour elever au carre le message code x ; 

Les figures 7, 8 et 9, respect! veraent , decrivent une 
carte magnetique indiquee a titre d'exemple, 1* organisation des 
informations hexadecimales sur la carte, et 1 'organisation de la 
zone de donnees i 

La figure 10 represente schematiquement le circuit de 
comraande utilise dans la serrure electronique > 

La figure 1 1 represente schematiquement une organisa- 
tion de niveau de serrure » 

Les figures 12 et 12A a 12D repre sen tent a titre 
d'exemple les relations entre les niveaux principaux, les zones, 
et l'ouverture de serrure ; et 

La figure 13 est une representation schematique du 
circuit a option renforcee. 

A. SYSTEMS D' ENSEMBLE 
Un mode de realisation actuellement prefere 20 d'un 
systeme de serrure electronique incorporant la presente invention 
est represente en figure 4- Le systeme de serrure electronique 
comprend une console codeuse 21, qui comprend un ordinateur 22 et 
un afficheur 23, un clavier 24, un module de comma ride dit a souris 
26, et un module de lecture/ecrite de cartes 27. La console peut 
comprendre un clavier 28 pour faciliter 1 ' introduction de donnees 
numeriques dans la meraoire de 1* ordinateur. 

Le systeme de serrure electronique 20 comprend eg ale- 
men t une serrure electronique autonome 30 con tenant un raicropro- 
cesseur qui est programme par des informations codees sur la bande 
magnetique 31 de cartes 32 pour effectuer selectivement des 
operations de verrouillage et de deverrouillage d*un pene 33 et 
d'un verrou 34. Des voyants vert, jaune et rouge, typiquement des 
diodes photoluminescentes (LED) designees collectivenient par la 
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reference 36 indiquent l'etat de la serrure 30. Egalement, un 
vibreur audible 40 (figure 10) est incorpore dans la serrure. II 
faut noter que la carte (ou autre milieu) et les modules de 
lecture et d'ecriture peuvent etre de tout type connu, tels que 
magnetique, optique. ou infrarouge. En ce qui concerne le systeme 
de verrouillage de facon generale, l'homme de l'art pourra mettre 
en oeuvre simp lenient le systeme de verrouillage en utilisant 
d'autres compos ants sur la base de la description foumie ici. 

Dans un mode de realisation parti culler, la console 
utilise un systeme d'ordinateur de la societe dite Apple connu 
sous la marque Macintosh et un module commercialement disponible 
de lecture/ecriture de cartes. De meme, la serrure electronique 
utilise un microprocesseuc 6805 et un module lecteur de cartes 
class ique. En outre, une memo ire a disques d'ordinateur sera 
typiquement prevue dans le module de console. Pour des operations 
importantes, on peut souhaiter connecter plusieurs consoles et des 
memoires a disques durs associees utilisant un reseau local. 

En f onctionnement , les donnees de la carte 32 sont 
introduites dans la console 21 en utilisant le clavier 24, la 
souris 26 et/ou le clavier 28 et les donnees sont chif frees par 
l'ordinateur 21. La carte 32 est alors amenee a passer dans la 
fente 36 du module de lecture/ecriture de cartes 27 comme cela est 
indique par la fleche 37, pour enregistrer les donnees chif frees 
sur la carte. Au niveau de la serrure 30, la carte-clef magnetique 
32 est amenee a passer dans la fente 38, comme cela est indique 
par la fleche 39 pour fermer un commutateur de veille 71 (figure 
10) et activer ainsi le microprocesseur 51, et egalement pour 
permettre au module lecteur de carte de la serrure de retrouver 
les donnees codees. Le microprocesseur dechiffre ou decrypte alors 
les donnees et determine si le message code x est un message 
valide m. Si le message de donnees est valide, il est utilise pour 
programmer le verrou et/ou pour actionner la serrure. Par exemple, 
et comme cela est deer it plus completement ci-apres, des donnees 
transmises par une carte- clef valide convenablement sequencee 32 
determinent le degre de securite fourni par le pene 33 et le 
verrou 34 et quand, et si, la poignee 41 sera capable de 
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deverrouiller la serrure. En outre, les informations cammuniquees 
par la carte-clef 32 a la serrure 30 comprennent di verses formes 
pour le verrou, telles que des instructions pour qu'il s'ouvre 
quand la poignee 41 est toumee ; pour qu'il s'ouvre seuleraent si 
le verrou 34 n'est pas mis ; pour deverrouiller une femme de 
chambre i etc... 

Le systeme 20 ass sure une securite en codant le 
message de la carte-clef en utilisant un chiffrage specif ique de 
signature numerique et une methodologie de dechiffrage qui est 
rapidement execute au niveau de la console et de la serrure. 
L' incorporation d'un protocole flexible assure une plus grande 
Elexibilite de f onctionnement que ce qui est disponible dans les 
systemes de verrouillage electronique anterieurs. En outre, un 
programme de sequencement est utilise et n'est pas sourais au 
probleme de saut d'etape expose precedemment . Ces caracteristiques 
ainsi que d'autres sont exposees ci-apres- 

B. SIGNATURE NUMERIQUE 
Conone cela a ete mentionne , le systeme de verrou 
electronique selon 1' invention est adapte a utiliser une forme 
modifiee.de cryptographie a clef publique a signature numerique, 
en depit des limitations de memorisation de donnees et de calculs 
qui sont inherentes a un tel systeme." Corame cela est represents en 
figure 5, de facon generale quand on utilise une cryptographie a 
clef publique, un entetteur, S r chiffre un message m en utilisant 
une clef de chiffrage k £ et transmet ou transfere le message de 
texte chiffre; code m* vers le recepteur R. Le recepteur utilise 
une clef de dechiffrage k Q pour transferer en retour le message 
code en le message en clair original m. 

Le mode general de cryptographie ci-dessus peut-etre 
mis en oeuvre selon deux modes particuliers diff erents : la 
cryptographie classique et la cryptographie publique. En cryptogra- 
phie classique, les clefs de chiffrage et de dechiffrage sont 
identiques : * E = k D = k * Cette approche inclut la norroe de 
cryptage numerique classique bien connue DES. On probleme crucial 
avec les systemes de cryptage classiques, si ceux-ci sont 
appliques a des systemes de verrouillage electronique et qu'il 
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serai t necessaire de communiquer la clef commune k a l*emetteur et 
au recepteur. La securite de cette clef deviendrait alors cruciale 
pour la securite du systeroe lui-meme. Par exemple, la securite de 
la clef peut etre mise en breche par une analyse technique ou une 
inspection de la serrure, ou par une rupture de conf identialite de 
la part de I'une quelconque des nombreuses personnes qui doivent 
necessairement avoir acces a la clef. 

En cryptographie publique, k D est different de k £ . La 
cryptographie de type publique recouvre deux sous-especes ou 
options. O'abord, la clef de chiffrage k E peut etre publique et la 
clef de dechiffrage k Q secrete auquel cas tout le raonde peut 
envoyer un message ma is seul le recepteur R peut le decoder. Un 
exemple de cette approche reside dans le systeme de courrier 
electronique. 

La seconde approche de cryptographie a clef publique 
consiste en l'inverse de la premiere. Ainsi, la clef de chiffrage 
k E est maintenue secrete et la clef de dechiffrage k Q est 
publique. Par suite, seul l*eroetteur S qui connait la clef secrete 
k D peut transmettre un message code valide roais tout le raonde peut 
dechiffrer le message code pour verifier que le message code est 
valide. C'est 1* approche dite a signature numerique et ceci est 
preferable pour des considerations de securite. Une application a 
titre d' exemple du systerue est decrite dans l'ouvrage de Meyer et 
Maty as intitule "Cryptography" publie chez Jonh Wiley and Sons en 
1982 en particulier dans la partie du chapitre 2 intitulee Block 
Cyphers concernant les algorithmes RSA en pages 33 a 48. Cet 
ouvrage sera considere ici comrae connu. 

L*algorithme RSA {nomine d'apres ses inventeurs) impli- 
que fondamentalement 1* evaluation d*une fonction modulo du type 
x K mod n = m ou x est un message qui, quand il elevtl a la 
puissance de la clef k et divise par un norabre composite n fournit 
un reste ro. 

La signature numerique de la clef de verrouillage 
electronique selon 1' invention est une version modifiee du type 
d'algorithme RSA ayant la forme x* mod n = m. L'utilisation de 
cette fonction modulo pour transmettre les messages codes implique 
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de calculer au niveau de la console une racine carree x telle que 
x' mod n - m, c'est-a-dire que x 1 divise par n fournit le reste m. 
Le quotient n'est pas utilise. Ici, m est le message a 
transmettre, n est la clef publique et x est le message code m' de 
la figure 5. 

Au niveau de la serrure, la fonction x' mod n est 
calculee pour retrouver ou dechiffrer le message code m. 

La securite apportee par la presente application de 
cryptographie a clef publique pour des systemes de verrouilage est 
directement proportionnelle a la dimension du norobre de la clef 
publique. Ainsi, assurer une securite qui, en pratique, ne peut 
etre violee implique 1' utilisation d'une tres grande clef 
publique. La presente version du systeme de verouillage 20 utilise 
une clef publique n d'environ 111 chiffres- A partir de la theorie 
des nombres des residus quadratiques, on peut prouver que trouver 
les racines carrees d'un nombre composite est aussi difficile que 
de factoriser ce nombre. Ainsi, en choisissant la clef publique a 
111 chiffres tn) comme etant le produit de deux grands entiers, ce 
probleme de factorisation peut etre rendu tres difficile. Factori- 
ser un grand nombre peut necessiter des mois ou meme des annees 
meme pour 1 'ordinateur sophistique le plus rapide tel que le super 
ordinateur CRAY 2, et encore plus pour l'ordinateur capable mais 
plus lent et moins sophistique de la console et le systeme 
d' ordinateur beaucoup plus lent et a plus faible capacite utilise 
dans la serrure 30. En outre, a la connaissance des demandeurs, le 
conflit existant entre les grands nombres qui sont requis pour la 
securite et la tres grande vitesse de fonctionnement 0,5 
secondes) qui est requise pour un actionnement commode de la 
serrure peut seulement etre resolu en utilisant lea sequences de 
codage/decodage suivantes qui ont ete prevues. 

L'.algorithme de codage/decodage recouvre trois groupes 
fondamentaux d Stapes = un precalcul de di verses valeurs qui sont 
independantes de la valeur du message * un codage et un chiffrage 
du message de la carte-clef au niveau de la console et une 
verification et un retablissement du message de la carte-clef au 
niveau de la serrure (ou de la console). Ces trois algorithmes 
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partagent un ensemble de variables globales communes : 

1. p,q : une paire de nombres premiers connus 
seulement de la console qui constitue la clef secrete j 

2. n : la clef publique, le produit de p et q, ses 
seuls facteurs t 

3. pi 4, ql4 ; les exposants utilises pour trouver des 

racines partielles t 

4. p2, q2 : les racines partielles de 2 ? et 

5. kp, kq : les coefficients de combinaison - ceux-ci 
sont utilises pour combiner deux racines partielles. Les trois 
e tapes sont d^crites ci-dessous. 

1 . pr^cacul 

Cet algorithme calcule les valeurs neccssaires dans le 
processus de chiffrage. II est execute une fois a chaque 
initialisation de la console. Son but est de reduire la duree de 
chiffrage d'un message en precalculant les valeurs qui sont 
independantes de la valeur du message. 

En utilisant les nombres premiers choisis, p et q cet 
algorithme calcule la clef publique tn) , les exposants (pi 4 et 
ql4), les racines carrees partielles tp2 et q2>," et les 
coefficients de combinaison (kp et kq). Ces valeurs sont 
memorisees dans des variables globales presentees ci-dessus. 

L'algorithme pour precalculer n, p14, q14 # p2, q2,kp, 
kq en utilisant p et q implique les etapes suivantes : 
E tapes 



Explications 



la. p = le P 

lb. q = le Q 

30 2. n = p*q 

3. p14 = (p-M) div 4 



35 



4. q14 = (q+U 4 



Sauvegarder les nombres 
premiers p et q de la clef 
secrete . 

Calculer la valeur de clef pu- 
blique n en multipliant p et q. 
Calculer l'exposant de racine 
partielle de p en ajoutant 

1 et en divisant par 4. 
Calculer 1 'exposant de racine 

partielle q-ieme de la 

facon- 
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5. p2 - puissance (2, p14, p) Trouver p2 de sorte que 

p2* mod p = +2. 

6. q2 - puissance (2 r q14, q) Trouver q2 de sorte que 

q2*q2 mod q = +2. 

7. kp = q* puissance (q, p-2, p) Trouver kp tel que kp modq - 0, 

et kp rood p = 1 . 
B- kq = p* puissance (p, q-2, q) Trouver kq de sorte que 

kq rood q ° 1 et kq mod p = 0. 

2. Message de signature 

Comme cela a ete mentionne, signer un message m 
cons is te a trouver une valeur x telle x 1 mod n =• m. Seulement 25 % 
des valeurs possibles de in ont de telles racines. En requerant que 
m mod 4 = 2, des reglages peuvent etre effectues pendant le 
processus de signature et de verification pour permettre la 
signature de toute valeur de message legale.. 

L'algorithme de signature (chiffrage) calcule d'abord 
des racines partielles de m par rapport a p et q, synchronise 
ensuite les racines partielles en doublant m si necessaire. Enfin, 
les deux racines partielles sont combinees pour former la racine 
par rapport an. 

Les etapes de 1 1 algorithme de signature sont : 
Eta pes Explications 

1 . mp * m rood p mp est le residu de ra mod p. 

2. mq, = m mod q mq est le residu de m mod q. 

3. xp - puissance (mp, pi 4, p) trouver xp tel que xp*xp mod p 

= + mp. 

4. xq - puissance (mq, ql4, q) Trouver xq tel que xq*xq mod q 

= + mq. 

5. tp = xp*xp mod p Calculer xp*xp mod p. 

6. tq = xq*xq mod q Calculer xq*xq mod q. 

7. SI (mp «* tp) » {roq = tq) Si les signes relatifs different, 
COMMENCES ALORS ce doit etre la signature 2m, 
xp : = xp*p2 mod p en consequence trouver xp tel 
xq : = xq*q2 mod q que xp*xp mod p - + 2*m mod p 

et xq tel que xq*xq mod q = 
+ 2*ra mod q. 
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FIN 

8. Sign Msg : = (xp*kp + Combiner racines partielles et 

xq*kq) mod n re tour. 

3. Verifier signature et retablir message 

Cet algorithme calcule x 2 mod n et compense tous 
reglages effectues pendant le processus de signature, retablissant 
ainsi la valeur initiale du message, m, au niveau de la serrure 
30. L* algorithme fondaniental est utilise a la fois dans le 
logiciel porte dans un element materiel et la console pour 
verifier les donnees de signatures. 

Cet algorithme pour retablir le message initial a 
partir du message muni d'une signature x et de la clef publique n 
imp li que les e tapes suivantes : 

Etapes Explications 

1. m : = x*x mod n Message signature carre, prendre 

le r es te m apr e s di v i s ion par 
n. 

2a. SI (ra) impair alors m ... si le resultat eat impair, m 

n _ m est "negatif" en consequence le 

sous tra ire de n. 

2b. t : = m div 2 prendre la moitie du resultat 

et le sauvegarder dans t. 

2c. Si t pair alors ra : = t Si t pair alors m a ete multi- 

plie par 2 et t est la valeur 
correcte. 

3. Verifier Msg : = ra revenir a la valeur initiale du 

message. 

L 1 algorithme de signature nuraerique ci-dessus resoud 
un probleme critique en ce qu'il choisit la clef publique n qui a 
comroe facteur seulement les deux grands nombres premiers p et q 
et, en trouvant des racines carrees modulo le nombre composite, x* 
mod n = m, constitue un processus pour determiner le message par 
utilisation de la clef secrete p,q qui est facilement mis en 
oeuvre par l'ordinateur de la console et cependant extremement 
difficile a casser. 
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II existe un second probleme critique impliquant la 
mise en oeuvre de la crypotographie a signature numerique pour la 
technologie de serrures electroniques qui implique l'ordinateur de 
serrure, Alors que le microordinateur 6805 couramment utilise dans 
le verrou 30 est relativement rapide et fournit une relativement 
grande quantite de memoire vive ( 1 92 octets ) et de memoire morte 
(4096 octets), un tel microprocesseur de l'art antexieur fournit 
encore une tres petite memoire et une faible capacite de calcul en 
cotnparaison des exigences de calcul d'un tres grand nombre tel que 
x* mod n. En outre, la memoire vive (RAM) de travail disponible 
est encore reduite a environ 100 octets puisqu* environ 50 octets 
sont requis pour d'autres fonctions de verrouillage electron! que . 
Plus s implement, il n*y a pas suffisamment de memoire de travail 
RAH pour preserver un norobre code x d ' environ 46 octets et en meme 
temps develop per son produit x J de longueur binaire double comroe 
on devrait normalement le faire. 

Ces limitations deviennent encore plus importantes 
quand on les considere a la lumiere des besoins en conflituels 
precederoment mentionnes de rend re maximum ia dimension du norabre 
ca lcul 6 x pour augmen ter la secur i te et en meme temps de 
satisfaire 1' exigence que les calculs soient effectues en mo ins de 
0,5 secondes pour empecher un retard unacceptable apres passage de 
la carte dans la fente de lecture de la serrure 38. En bref, et en 
plus du rendement de calcul qui est requis au niveau de la console 
et est assure par I'algorithme de factorisation de p f q deer it 
ci-dessus, une grande efficacite de calcul est eg a lenient requise 
pour calculer x a mod n tres rapideraent au niveau de la serrure 
avec la memoire de travail RAM severeraent liraitee. 

La presente invention inclut un mode de calcul qui 
assure 1' efficacite souhaitee. Cet algorithme permet le calcul de 
x a dans la meme memoire de travail RAM requise pour memoriser x. 
L' algorithme est deer it ci-apres en relation avec le processus 
d* elevation au carre du nombre a quatre chiffres 537 4, mais est 
applicable a un nombre quelconque. 

Comme le represente la figure- 6, par souci de 
cofiimodite, les colonnes de calculs sont numerotees de 1 a 8 et les 



2597142 



15 

pointeurs I, J sont utilises d'une grande maniere comme ils 
seraient utilises pour mettre en oeuvre l'algorithme de l'ordina- 
teur. Initialement , le calcul commence avec les deux pointeurs I, 
J dans la colonne 1, puis I est deplace vers la gauche colonne par 
colonne jusqu'a la derniere colonne du norabre x ( ici la colonne 4) 
et, enf An, J est deplace vers la gauche colonne par colonne 
jusqu'a la derniere colonne. Apres chaque deplacement du pointeux 
I ou J, une semination de produits croises est obtenue pour les 
colonnes embrassees par I et J. (1) Quand I et J englobent un 
nombre pair de colonnes, n, la somme des produits croises des 
colonnes englobees par I et J est obtenue. (2) Quand I et J 
englobent un nombre impair de colonnes, le carre de . la colonne 
mediane est obtenu et ajoute a la somme des produits croises des 
colonnes externes s'il y en a (si le nombre englobe n = 1 il n'y a 
pas de colonnes externes) - 

Cette procedure est faci lenient comprise en relation 
avec la figure 6 ou I, J sont" tous deux initialement a la colonne 
1 et le sous- total de colonne associe est simplement 4 1 ou 16. 
Quand I est deplace vers la seconde colonne ( I = 2 et J = 1 ) , les 
deux pointeurs englobent un nombre pair de colonnes. et le 
sous- total de la colonne est {4x7 = 28) + (7x4 = 28) ou 56. On 
notera que dans chaque cas quand les produits croises sont 
obtenus, deux valeurs egales telles que 28, 28 sont obtenues et 
les calculs peuvent etre reduits en multipliant simplement le 
produit croise tel que 28 par 2. 

En continuant avec notre sous- programme de calcul, 
ensuite I est deplace vers la colonne 3 ( I = 3 et J = 1) 
fournissant le sous- total de colonnes associees (4x3= 12)+ (7 
x 7=49) + (3x4= 12). Le processus continue jusqu'a ce que I 
soit deplace vers la colonne la plus a gauche puisque J soit 
deplace vers la derniere colonne (I = 4, J =» 4), fournissant un 
produit croise associe egal a 5 x 5 = 25. 

Le resultat au carre est obtenu en ajoutant simplement 
les colonnes. 

On notera qu ' a tout instant donne le processus 
necessite une quantite maximale de meraoire de travail egale k deux 
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fois le nombre d' octets occupe par le nombre non eleve au carre x 
plus seu lenient 6 octets supplementaires- Ainsi, l'algorithme 
permet un calcul d'un nombre x l tres grand en utilisant la meme 
memoire RAM de travail que cela est requis pour mesurer le grand 
5 nombre x plus 6 octets , ma is reduit egaleraent le nombre de 

multiplications pour obtenir x a de 111 bits d'environ moitie, 
d* environ 2100 a 11 00. Ceci reduit le temps de calcul d * ensemble 
d'environ 25 %, soit d'environ 0,5 secondes a environ 0,365 
secondes . 

1Q . C. PROTOCOLE FLEXIBLE ET FONCTIONNEMENT 

Le protocole flexible est une consequence de 1* utilisa- 
tion de la cryptographie a clef publique du type a signature 
numerique pour coder la zone de messages d ' une carte magnetique. 
Comma cela a et£ deer it ci-dessus, l'approche du type signature 
15 -numerique assure una excellent© securite- En outre, le codage de 

la zone de messages de donnees en utilisant l'approche de 
signature numerique separe la fonction de validation de securite 
de la fonction de message. Ceci libera le protocole quant aux 
limitations de prog rammat ion associees a la realisation simultanee 
20 <3es fonctions de messages et de sdcurite. On exemple d'une telle 

contra in te se trouve dans les problemes de sequencement exposes 
ci-dessus dans lescjuels des cartes de clients valides sont 
incapables d'actionner une serrure a la suite du defaut 
d* utilisation d'une ou plusieurs cartes precedentes. 
25 1 . Organisation de cartes 

Comme le represente la figure 7, pour mettre en oeuvre 
le protocole flexible* les cartes magnetiques 32 sont utilisees et 
comprennent une piste magnetique 31 sur laquelle 50 octets de 
donnees sont ecrits en notation hexadecimale. En se referant a la 
30 figure 8, les 50 octets de donnees sont divises en un en-tete de 2 

octets 101, une zone de donnees 102 a laquelle sont alloues 46 
octets et une zone terminale 103 de 2 octets. La carte est lue de 
la droite vers la gauche, a partir des zeros precedant 1' en-tete 
jusqu'aux zeros finaux- Le premier octet ou le premier octet dont 
35 on tient compte de donnees de la carte est un ou plusieurs octets 

de caracteres de synchronisation dans 1 'en-tete qui donnent 
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instruction a la serrure de lire et d' analyser des donnees 
suivantes. Le second octet de donnees , dans l'en-tete, sert a 
specifier la longueur, couramment le nombre 48, qui specifie le 
nombre d 'octets de zones de donnees et de zones terminales sur la 
5 carte et permet un agrandissement ulterieur de la carte. Par 

exemple, actuellement, la longueur est choisie egale a 48 {en 
valeur hexadecimale S30), la longueur maximale que le microproces- 
seur 51 peut traiter. 

La zone terminale 103 comprend des octets uniques 

10 concernant le type de carte et une verification de redondance 

longi tudinale (LAC) externe. Le type de carte, le 49eme octet, 
specifie actuellement l'un de six types de cartes differents : 
depart de fabrication ; depart de constitution ; depart de 
fonctionnement compiet ; carte signee (etablissement, programmation 

15 ou clef) j autp-test ; ou piste d* audit amor tie. Le SOeme octet, 

le LRC externe d'un octet est utilise pour verifier que les 
donnees sont correctement lues au niveau de la serrure. 

Alors que certaines cartes n'ont pas besoin d'etre 
munies de signature, la flexibility du protocole de 1" invention 

20 est peut etre mieux representee par les cartes - y compria les 

cartes-clefs et les cartes de prog rannnat ion - dans lesquelles la 
zone de donnees 102 est cryptee en tant que signature numerique. 
Specif iquement, et en relation avec la figure 9, le protocole de 
carte-clef et de programmation localise certaines informations 

25 dans la zone de donnees 102 de chaque carte aux memes octets. 

Actuellement, la carte prevoit un octet pour des zones de drapeau 
communes, 4 octets pour un numero d* identification de carte (ID), 
2 octets pour des numeros de frequences de zone commune, 1 octet 
pour un pont negatif de zone commune (ci-apres), 36 octets pour le 

30 champ d^ message, 1 octet pour la validation LRC et 1 octet pour 

divers drapeaux. 

Les octets de drapeaux de zone commune specifient une 
zone d'acces commune limitee. Actuellement les bits 0 a 3 
permettent un acces de carte a aucune, quelques-unes , ou toutes 

35 parmi quatre zones communes possibles a acces limite. 

Le numero d ' identif ication (I.D) de carte comprend un 
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n ombre a 4 octets specif ique de la clef, un parrai 4 milliards de 
nombres qui sont fournis dans l*ordre numerique par la console au 
client ou a 1* employe auquel la carte est fournie. 

II faut noter que les zones communes sont les champs 
de formation qui sont concus pour assurer un large acces par un 
grand nombre de clefs a une ou plusieurs serrures donnees 
appliquees par exemple, a des garages, des piscines r des salles 
d'attente pub 1 ique s etc... Le numero de sequence de zone commune 
est modi fie automat iquement au niveau de la console de facon 
periodique, par exemple quotidiennement. Par exemple, avec des 
numeros sequentiels de chambre d' hotel, et d' employe, si le numero 
de sequence commun sur la carte est egal au numero de serrure, 
= s^, la porte est ouverte, et comme cela est le cas avec des 
numeros de sequence d f employes de chambre d' hotel, si le numero de 
sequence commun sur la carte est super ieur au numero sur la 
serrure d'une difference non super ieure au pont de sequence 
b(b^S c ~S L >0) alors, non seulement la porte est ouverte, 
ma is encore le nombre de sequences sur la carte est memorise dans 
la serrure comme ce nombre. Contrairement aux approches classiques 
expose es precedemment, cette technique de sequencement permet a 
une carte valide d'actionner un verrou independamment de 1* utilisa- 
tion ou de la non-utilisation des cartes precedentes, pour autant 
que la longueur de pont arbitrairement choisie ne soit pas 
depassee. Comme cela a ete mentionne, cette flexibilite est rendue 
possible du fait que l*on separe 1 ' actionneraent du protocole de 
carte et de serrure de la fonction de securite. Le numero de pont 
arbitraire b peut etre 1 ou 10 ou 255 ou tout nombre qui confere 
la flexibilite desiree au systerae- 

Contrairement aux numeros de sequence de chambre 
d * hotel et d ' employes , si le numero de sequence commun sur la 
carte est infer ieur au numero dans la serrure d'une difference non 
super ieure au pont negatif de zone commune specifie sur la carte 

b (b >. S - S > *i alors la porte est ouverte. L* acces des 

c c * L C 
zones communes expire automatiquement quand la difference entre 

et S c depasse le nombre de pont negatif commun b c - Le nombre de 

pont negatif de zone commune est etabli de facon similaire au 
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norabre de pont sauf que le pont negatif est specifie dans le pont 
negatif de zone commune a un octet. 

On considere par exemple un client et un nombre de 
pont negatif de zone commune egal a 10. Quand le client utilise la 
piscine le premier jour de son sejour la porte s'ouvre. S'il est 
le premier des clients de la journee a utiliser la piscine, alors 
le numero de sequence sur sa carte sera superieur au numero de la 
serrure, de soirte que la serrure se raettra a jour sur le nouveau 
numero de la carte. Le jour suivant, apres que la serrure ait efce 
utilisee par des clients rentrant ce jour-la, le numero de 
sequence sera a nouveau avance- Mais, notre carte de client le 
laissera encore entrer dans la piscine puisque, alors que sa carte 
a un numero de sequence qui est infer ieur au numero de verrou, la 
difference est de 1, ce qui- est moins que le pont negatif de -10 
sur sa carte. Notre carte de client deverrouillera la piscine 
pendant 10 jours, pour autant que son numero de sequence de carte 
est infer ieur au numero de sequence de la serrure de piscine d'une 
difference non superieure au pont negatif egal a 10 sur sa carte. 

Le 4 Seme octet dans la zone de donnees 102 est line 
verification de redondance longitudinale ( LRC) interne d'un octet 
qui prouve la validite de la carte. Ainsi, ce LRC interne est 
utilise pour determiner si la carte telle que dechiffree est 
valide. Les 4 4 octets precedents sont soumis a une fonction OO 
Exclusif avec le LRC et le resultat zero est requis pour que les 
donnees soient valides- Sinon, on suppose que la carte est 
invalide et elle est rejetee par la serrure. 

Le 46eme et dernier octet dans la zone de donnees est 
utilise pour- des chose telles que la commande audio et 
1' indication de chute de batterie et pour specifier si la carte 
est une carte d'etabl is semen t ou une carte de clef /programraat ion - 
Eh outre, les 2 bits d'ordre infer ieur du 46eme octet sont 
utilises pour un controle de reste quadra tique- Le bit inferieur 
est toujours a 0 et le bit suivant est toujours a I de sorte que 
la zone de donnees est un nombre pair a 46 octets congruent a 2 
modulo 4, ce qui facilite le dechiffrage de la carte. 
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D. PROGRAMMATION PES CARTES— CLES 
1 . Donnees du champ de message . 

Le champs de message a 36 octets 104 de la figure 9 
communique a la serrure la/ou les fonctions qu'elle doit realiser. 
5 - Comme cela est represente schema tiguement en figure 10, le 

microprocesseur et la memoir e de la serrure sont concus pour 
recevoir des messages de cartes connstitues de sous— messages : une 
ou plusieurs actions precedees d'une specification optionnelle ou 
requise de zone/sequence, de nombre de serrures, et/ou de temps. 

'0 une fin EOM a 1 octet du code de message est utilisee sur la carte 

quand le champ de 36 octets n'est pas rempli. 

Une pa ire zone/sequence est une zone- avec un numero de 
sequence associe et doit valider la plupart des actions. Le champ 
de message embrassera 32640 zones possibles telles que des 

15 chambres ou des suites de clients a une ou plusieurs portes, etc.. 

Tel qu'il est utilise ici, le terme "zone" designe un 
ensemble d'une ou - plusieurs serrures liees dont toutes peuvent 
etre ouvertes avec la meme pa ire zone/ sequence. Comme cela est 
represente schema tiquement en figure 12, des zones sont utilisees 

20 pour designer un ensemble de serrures associees. A leur tour, des 

niveaux ma It res se rapportent a un ensemble de zones associees. 
Les figures 12A, 12B, 12C et 12D sont prises a partir de la figure 
12 et representent les zones et les serrures associees a trois 
niveaux maitres indiques a titre d'exemple : client (figure 12A) ; 

25 femroes de menage (figures 12B et 12C) j et urgence (figure 12D). 

. Les figures sont uniquement illustratives car. le domaine d' applica- 
tion de ce concept est beaucoup plus etendu que celui qui est 
represent^. Par example , actuel lenient, les serrures peuvent etre 
programmees pour repondre a jusqu'a neuf zones ou niveaux maitres. 

^ w L' utilisation de niveaux maitres dans les serrures classiques est 

limitee a plusieurs serrures fixes designees ou g roup e men t de 
serrures et chaque serrure est limitee a une selection choisie 
dans ce groupe. Toutefois, en utilisant le present protocole, une 
tres large selection de niveaux (environ 32640) est disponible. 

^ Specif iquement, en ce qui concerne le protocole de 

zone, un octet inferieur de zone egal a zero n'est pas autorise 
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sur une carte i les 128 telles zones possibles sont reservees a 
une utilisation de serrure. Les 15 bits infer ieurs du champ de 
zones de 16 bits specifient la zone elle-meme. II y a ainsi 32640 
zones possibles specifiers par les 15 bits. Chaque zone en 
utilisation est associee a un numero de sequence en cours. 
L* organisation des types et des numeros de portes est definie par 
le service de ge3tion sur chaque site. Alors qu'une chantbre 
d* hotel avec une porte represente une zone d'une serrure * la zone 
d'urgence est constitute de la plupart ou de toutes les serrures 
de 1' hotel ou du systeme- Dans les deux cas, un numero de sequence 
unique est associe avec chacun. 

Le bit 14, le bit d'ordre le plus eleve dans la zone 
tie second, bit d'ordre le plus eleve dans le champ de zone), 
specifie si la zone est destinee a un acces de client ou 
d* employe. Si ce bit est etabli, la zone est considered comrae 
etant une zone d * employes . Si le bit est zero, la zone est 
consideree comme une zone de clients. 

Comme eel a a ete roentionne ailleurs, la premiere zone 
de toutes les serrures est la zone d'urgence. Elle n'est jamais 
enlevee et ne coraprend pas de compteur de fois unique. Une clef 
d'urgence valide peut ouvrir toutes les serrures pourvu qu'il 
existe une zone d'urgence unique, ou s'il y en a plus, des paires 
de niveaux d'urgence Zone/Sequence, tous les ensembles sont sur la 
clef d'urgence. Si le bit superieur (le bit 15) de la zone 
d'urgence est etabli, ceci indique une ouverture prioritaire de 
verrou, toutes les serrures sont progr.*mmees pour s" ouvrir a un 
instant quelconque independamment de la position de leur verrou 
sur la porte ou independamment de la presence d*un etat de haute 
securite. Toutefois, si le bit de priorite de verrou n'est pas 
etabli, alors la carte ne peut ouvrir la porte si elle est 
verrou il lee par un vorrou ou tout autre etat de security. 

Les zones de clients sent egalement soumises a un 
traitement special. Seulo une mi.se a jour le sequence de zone ae 
clients remeti.ra >i zero un etat de haute security (expose par 
ailleurs) et alo-rs qu'il peut y avoLr des zones de clients 
multiples programmers dans une serrure, une seule peut etre active 
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a un instant particulier - les autres sont bloquees. La mise a 
jour de la sequence d'une zone de clients en fait la 2one de 
clients active et bloque toutes les autres. One zone de clients 
bloquee peut egalement etre rendue active par 1' utilisation d'une 
operation de remise a zero du blocage. 

Le bit 15, le bit d'ordre le plus eleve de " chaque 
champ de zone sur une carte specif ie un deblocage prioritaire d' un 
verrou. Qiiand le bit 15 est a 1, la clef ouvrira. la porte meme si 
un etat de haute securite existe ou meme si le verrco. a £te tire 
de 1* inter ieur, comme cela a ete represents pour la clef d'urgence 
ci-dessus. Quand un bit 15 sur une zone est a 0, la carte 
n'ouvrira pas la porte si un etat de haute securite existe (a 
mo ins que 1' action soit "Set High Security /Open" (mettre haute 
securite/ouvrir) expose 1 cx-dessous) ou bien si le verrou a ete 
enleve de Vinterieur. 

Le numero de Sequence a deux octets est appaire avec 
le numero de Zone pour valider la plupart des actions que la 
serrure peut effectuer. Quand une paire Zone/Sequence valide une 
action "ouvrir la porte" le logiciel memorise dans une ROM de la 
serrure compare la paire aux Zones et Sequences presenteroent 
memorisees dans la serrure- On se referera a 1'exemple d 1 organisa- 
tion de memoire de serrure de la figure 11. S'il trouve qu'une 
Zone a ete programmed dans la serrure, il compare alors les 
Sequences. Si le numero de Sequence est egal au numero de Sequence 
deja dans la serrure dans la Zone specifiee, alors la serrure 
executera 1' action desiree. Si la Sequence lue a partir de la 
carte est super ieure a la Sequence dans la serrure dans cette zone 
specifiee et que la difference entre les deux n'est pas superieure 
a la valeur de pont, alors la serrure execute egalement 1* action 
desiree et, si 1* action validee est 1'une des cinq actions de clef 
(ouvrir, mettre haute securite/ouvrir, ouvrir une fois, deverrouil- 
ler ou reverrouiller) ou est une action de prograramation de 
sequences de mise a jour et que le reste du message et du champ de 
message est valide, la fonction desiree realisee et le numero de 
Sequence est mis a jour. Ceci signifie que le numero de sequence 
de la carte remplace le numero de sequence precederament programme 
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dans la serrure. De cette fagon, de vieilles clefs sont autoraati- 
quement invalidees chaque fois qu'une nouvelle clef est utilisee 
sur chaque serrure dans chaque zone. 

On not era toutefois que seules les actions specif iees 
raettront a jour la sequence de serrure. Si la premiere action 
n'est pas l'une des actions specif iees. la Sequence ne sera pas 
mise a jour par ce message. En outre, plusieurs paires Zone/Sequen- 
ce peuvent etre aussi specif iees sur une carte unique. Egalement, 
il faut noter que la presente capacite de la serrure pertnet de 
pre voir jusqu'a huit paires Zone/Sequence sur chaque serrure. Si 
moins de huit sont specifiees, certaines peuvent etre 
conditionnees par une option speciale Temps* Si deux ou plus 
paires zone/Sequence sont specifiees et que l*une s'adapte a la 
serrure correspondante alors qu'une autre mettrait a jour la 
sequence, alors la mise a jour prend place independamment de 
1' accord au niveau de 1 'autre zone. S'il existe au moins deux 
paires Zone/Sequence sur une carte qui roettraient a jour les 
sequences correspondantes dans une serrure, el les sont toutes 
mises a jour. 

Le nuntero de serrure CLockno) est un nombre a deux 
octets qui est assigne par la console a chaque serrure et qui ne 
concerne en aucune facon le numcro de chambre sur lequel la 
serrure est installee et identifie de facon specif ique la serrure. 

La specification temporelle (Timespec) agit quand une 
carte optionnelle horloge/calendrier est prevue pour une serrure 
et permet a des cartes d'etre valides seulement a des dates et 
heures particulieres ou pendant certains jours ou les deux. 

La carte horloge/calendrier est une carte optionnelle 
pour chaque serrure. Quand elle est connectee, elle assure une 
capacite de securite accrue : des cartes peuvent avoir une 
validite limitee seuleroent pendant certaines dates et heures 
specif iques ou certains jours ou les deux et des transactions sont 
fixees dans la carte. Deux codes optionnels (Opcodes) peuvent etre 
prevus pour regler la date, le jour et l'heure convenables dans la 
puce horloge/calendrier. D'autrcs Opcodes sont prevus pour valider 
et liniiter des actions de carte. 
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Des specifications tempore!, les peuvent etre ecrites 
sous forme de message sur les cartes pour limiter la validite 
d'une operation a cextaines dates ou heures. La serrure comparera 
le jour/date/heure dans son propre horloge/calendrier aux instants 
sur la carte pour determiner la validite de 1 'operation. 

Les specifications temporelles peuvent consister en un 
ou plusieurs Opcodes de specifications temporelles, suivis chacun 
d'un ou plusieurs operandes jour/ temps. Norraalement , un seul 
Opcode de specification temporelle sera utilise. On peut en 
appeler un second si la partie d'operande de la specification 
temporelle est plus longue que la longueur de 15 octets que cet 
Opcode peut specifier. Dans ce cas, un second Opcode est utilise 
pour continuer la specification temporelle. 

E. ACTIONS DES CARTES 

One carte peut realiser deux actions : programmer la 
serrure au ntoyen d'une ou plusieurs fonctions et ouvrir la 
serrure. Les aifferents types possibles d'actions de clef compren- 
nent : ouverture simple (toute serrure avec une combinaison 
s'adaptant au niveau maitre specif ie), placer haute securite/ou- 
vrir i deverrouiller (creer une voie de passage) i reverrouiller 
(une voie de passage) % et ouvrir une fois (pour une personne 
d'entretien ou de service, etcf. Les actions de progr animation 
comprennent : regler l'horloge a la date/heure/ jour ; ef facer les 
zones communes j bloquer un ou plusieurs niveaux maitres de clef ? 
remettre a zero le blocage ; raettre a jour le nuraero de sequence 
de serrure a la valeur en cours ; a j outer Zone (accepter des clefs 
supplementaires) % et suppriroer Zone. Ces actions sont presenties 
ci-apres. 

1 . Actions d'ouvertures 
a. Ouverture 

Ce sous-message de donnees ouvre la serrure si les 
nombres de validation optionnels F.ockno et Timespec s'adaptent aux 
donnees de la serrure et si la Zone/Soquence de validation fait un 
pont ou s'adapte. 

Des exceptions comprennent les cas suivants : ( 1 ) si 
le pene dormant de la serrure est classe, le bit de prior ite de 
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pene dormant dans la Zone doit etre classe ou bien la porte ne 
pourra etre ouverte par la carte ; <2) Si Haute Securite est 
placee et que la validation se fait par une zone de clients qui ne 
met pas a jour le numero de sequence, le bit de priori te de verrou 
5 dans la zone doit etre place ou bien la porte ne pourra etre 

ouverte par la carte ; et <3) si la Zone de validation est bloquee 
et ne met pas a jour le numero de Sequencer la porte ne pourra 
etre ouverte par la carte. 

Une action d'ouverture met a jour les sequences 

10 associees a toutes les zones de validation qui forment un pont. 

Une raise a jour valide de sequence remet a zero tout blocage au 
niveau de la zone de raise a jour ainsi que, si la zone mise a jour 
est une zone de clients (bits 14 a 0), remet a zero le verrou 
logique {voir Haute Securite ci-dessous). 

15 b. Etablir Action d'Ouverture Haute Securite 

Cette action est identique a 1* act ion d'Ouverture, 
sauf que la premiere action de la carte est de placer un verrou 
•logique", Une fois le verrou placed les seules cartes qui 
ouvriront la serrure sont celles munies d'un bit de prior ite de 

20 verrou ou d'une action d' eta blis semen t de Haute Securite/Ouverture 

ou celles qui met tent a jour la sequence associee a une zone de 
clients (bits 14 h 0). Alors que toute carte peut etablir l'etat 
de Haute Securite, seule une clef de client (bits de zone 14 a 0) 
peut le remettre a zero lors d'une mise a jour de sequence. 

25 c. Action de De verrou illage 

Cette clef amene une porte a agir comme une voie de 
passage ouverte juscju'a ce qu'une clef de reverrou illage soit 
utilisee pour un reverrouillage . Les exceptions comprennent : (1) 
si le verrou de la serrure est place, le bit de priori te de verrou 

30 dans la Zone doit etre place ou la porte ne pourra etre ouverte 

pax la carte » (2) si Haute Securite est etabli et qu'une 
validation se fait par une zone de clients qui ne met pas a jour 
le numero de sequence, le bit de prior ite de verrou dans 1' octet 
de niveau ma It re doit etre etabli ou bien la porte ne pourra etre 

35 ouverte par la carte ; (3) si la zone de validation est bloquee et 

ne met pas a jour le numero de sequence, la porte ne pourra etre 
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ouverte par la carte. 

d. Action., de Reverrouillage 

Cette clef reverrouille une porte agissant comme une 
voie de passage et met a jour les sequences associees a toutes les 
zones de validation ayant be so in d'une mise a jour, pourvu que les 
autres preconditions a la mise a jour d'une sequence enumerees 
dans 1" action d'ouverture soient satis faites. 

e. Action d'Ouverture pour One Fois 

Cette cle£ ouvre une serrure une seule fois. Les 
conditions d'ouvertures sont les mimes que pour 1* action d'Ouver- 
ture sauf que : (1) le compteur qui est dans I'operande One Fois 
doit etre plus eleve que le compteur d'un octet dans la serrure 
correspondant a la zone qui ouvrirait la serrure i et ( 2 ) s 1 il 
existe une horloge dans la serrure, une duree de validation 
requise doit etre valide. Toute remise en sequence necessaire est 
executee avant de valider le compteur Une Fois (sur une clef qui 
remet en sequence, le compteur est automatiqueroent valide puisse 
que mettre a jour la sequence remet a zero le compteur Une Fois de 
serrure pour cette zone). 

Si la serrure se valide ( independamroent du fait 
qu'elle soit ouverte ou non) alors le compteur dans la serrure est 
rendu egal au compteur sur la clef, empechant ainsi une ^utilisa- 
tion de la clef, et empechant egalement une utilisation de toute 
clef Une Fois fournie avant celle-ci (avec des comptages plus 
faibles dans leurs operandes). Le compteur dans la serrure est 
sequence me me si la porte n'est pas ouverte (en raison du verrou 
place ou d'une absence de priorite, par exemple, ou d'un blocage 
de la zone de validation). 

II existe un octet de compteur par zone dans la 
serrure r sauf au niveau de la zone d'urgence (la premiere zone 
ajout.ee par la carte d* etablissement , de sorte que la zone ne peut 
etre utilisee pour valider cette clef). 
2. Ac ti ons de Programmation de Cartes 

a. Operation d ' Etablissement d' Horloge 

V operation d* Etablissement d' Horloge est validee en 
prefacant l'operation sur la carte par toute Zone/Sequence qui se 
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trouve egalement dans la serrure. L'horloge de la serrure est 
placee a la date, heure et jour de la semaine qui sont specifies 
dans 1 ' operande . 

b . Operation d'obtention d' heure de Terminal Portable 

Si une serrure peut coramuniquer avec un terminal 
portable dans des buts de suivi de verification , alors un terminal 
portable peut egalement etre utilise pour etablir la date, 1' heure 
et le jour dans la serrure. 

Ceci fonctionne de la facon suivante : le terminal 
portable decharge la date, l'heure et le jour de la semaine ainsi 
qu'un programme de communication de serrure a partir de la 
console ; le terminal portable est connecte a la serrure 5 la 
carte d'obtention d* heure est amenee a passer dans le lecteur de 
cartes de la serrure 1 la serrure valide la carte par rapport a la 
Zone/Sequence sur la carte, ainsi que par le corapteur une fois sur 
la carte a cette zone % la serrure repond en lisant la date, le 
jour et l'heure de la semaine a partir du terminal portable par 
l*interm£diaire de son acces serie. 

c. Operation d ' Etablissement de Zone Commune 

Cette operation convertit une serrure en acces de Zone 
Commune et lui donne une Sequence de Zone Commune pour repondre et 
optionnellement des heures pour une accessibility en Zone Commune. 
Cette operation aecessite que le message contienne le Lockno 
valide et toute Zone/Sequence valide dans la serrure. Une 
specification temporelle est alors requise (bien qu'elle soit 
seulement utilisee par des serrures avec horloge) . 

Les niveaux d' acces a une Zone Commune de serrures 
sont etablis pour s* adapter aux quatre drapeaux de zone commune 
dans le champ de drapeaux de la carte. Si aucun des quatre 
drapeaux n'est etablir le drapeau d' acces de Zone Commune non 
limitee de serrures est etabli pour indiquer que toute clef de 
site valide avec un numero de sequence de Zone Commune valide 
ouvrira la serrure. 

Le numero de sequence de Zone Commune est remplace par 
le numero de sequence de zone commune sur la carte. 
L 1 e tabl issemen t de Zone Commune coraprend egalement l'option 
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consistant a regler un ensemble d'heures pendant lequel l'acces 
coramun sera autorise et/ou un ensemble de jours pendant lequel 
l'acces coram un sera autorise (si les deux sont specifies, alors 
les deux doivent etre vrais pour que la serrure autorise un acces 
5 comtnun ) . 

d. Operation d'Effacement de Zone Commune 

L* operation d'Effacement de Zone Commune supprime tous 
les acces comrauns a une serrure. Cette operation requiert que le 
message contienne une quelconque Zone/Sequence valide dans l'horlo- 
10 ge. Tous les drapeaux d* acces de Zone Commune de serrures et les 

informations de Sequence et de Temps sont effaces par cette 
operation- 

e. Operation de Blocage 

L' operation de Blocage bloque les zones specif iees 
'5 dans l'operande. Elle est validee par la Zone/ Sequence specif iee. 

On blocage peut etre annule de deux f aeons : 
Une clef qui met a jour la Sequence ass oc iee a une 
Zone dans une horloge remettra a zero le Blocage au niveau de la 
Zone mise a jour. (S'il s'agit d'une Zone de clients, la procedure 
20 de mise a jour met egalement automatiquement un blocage sur toutes 

les autres Zones de clients ) . 

Une carte de Remise a Zero de Blocage (voir operation 
de Remise a Zero de Blocage) remettra a zero les zones specif lees 
qui ont ete bloquees. 
25 f . operation de Remise a Zero de Blocage 

Cette carte reraet a zero le blocage installe au raoyen 
d*une carte d' operation de Blocage remettant a zero les blocages 
au niveau des zones specif iees dans l'operande, validant la carte 
a l*encontre de toute paire Zone/Sequence dans la serrure. 
30 g. Operation de Mise a Jour de Numero de Sequence en Valeur 

Presente 

La mise a jour de Sequence est la seule carte de 
programmation a executer des sous- programmes de raise a jour-sequen- 
ce dans la serrure. Elle differe d'une clef d'Ouverture (action 
35 d'Ouverture) principaleraent en ce qu'elle ne deverrouille ou. 

n'ouvre jamais une porte- Son objet est seulement de mettre a jour 
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associe. Ceci assure une compatibilite vers le haut et vers le bas 
entre des serrures et des cartes anciennes et nouvelles. 

Par exemple, si de nouvelles serrures sont ajoutees ou 
que des serrures sont modifiees pour avoir des capacites qui 
n'existent pas dans des serrures existantes, les serrures 
anciennes pourrons nearanoins etre- actionnees par les cartes-clefs 
con tenant les nouveaux sous— messages en depit de 1 1 incapacite des 
anciennes serrures a comprendre et a mettre en oeuvre les nouveaux 
sous- messages . Cette compatibilite vers le bas, entre les 
nouvelles cartes et les anciennes serrures et entre les anciennes 
et les nouvelles serrures* existe du fait que, quand la serrure 
ancienne ne presente pas la capacite de comprendre ou de mettre en 
oeuvre le nouveau sous-message, elle peut tout siraplement sauter 
la longueur pr£d£terminee du nouveau sous -message vers le message 
suivant qui se trouve dans ses capacites de progr animation. 

Le sy steme est aussl compatible vers le haut en ce que 
les nouvelles serrures mettent en oeuvre facilement toutes les 
instructions des anciennes serrures contenues dans des anciennes 
cartes. Dans la me sure ou de nouvelles serrures n'ont pas besoin 
d'etre programmers pour mettre en oeuvre un sous-message ancien 
particulier, comrae les anciennes serrures, elles sautent tout 
simplement le sous-message particulier jusqu'au sous-message 
suivant qu' elles sont programmers pour mettre en oeuvre. 

En bref, tant que les anciennes et nouvelles cartes 
comprennent les Opcodes les unes des autres, une compatibilite 
complete vers le bas aussi bien que vers le haut existe, 
pennettant un usage mixte d' anciennes et de nouvelles serrures, de 
nouvelles cartes avec d'anciennes serrures, et inversement. 
2. Clef Une Fois 

Une autre retombee directe de 1 ' utilisation d*un 
protocole flexible reside dans la capacite de fournir des clefs 
dites Une Fois qui permettent 1* entree dans une zone designee 2 a 
9 (excluant l'urgence bien entendu) de personnels de livraison, 
tel qu'un fleuriste et analogue. Comme cela est represents en 
figure 11, la table de verification dans chaque serrure comprend 
un champ Une Fois qui est valide par Zone et Sequence et 
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la sequence dans une serrure de sorte que les sequences 
precedentes sont bloquees sans avoir ega lenient a ouvrir la serrure 
s inru 1 tanemen t - 

Si la clef d'Urgence devait etre roodifiee par suite de 
la perte ou du vol de l*une d'elles, une oarte de mise a jour de 
Sequence serai t placee dans chaque serrure de 1* hotel par un 
employe de bas niveau dont on a besoin seulement qu'il 1* utilise 
sur toutes les serrures, qu'il ne la vole pas lui-meme , ou qu'il 
n'en fasse pas de copie (puisqu'il n'ouvre pas la porte/ il n*y a 
pas de risque de vol ou de perte). Les clients ne seront pas ^ 
perturbes par le bruit de l'ouverture de leur porte simplement 
dans un but de mise a jour de sa sequence. 

h. Operation d'Ajout de Zone 

L* operation d'Ajout de Zone ajoute les paires d'operan- 
des de Zomi/Sequence a la serrure. Si une serrure comprend deja 
une Zone a a j outer, ou si toute la memo ire de zone de la serrure 
est deja en utilisation/ le champ de message complet est ignore et 
les voyants sont amends a clignoter pour signaler un e>at 
Verreur. Une pa ire quelconque Zone/Sequrmce est requise pour 
validation. 

i. Operation de Suppression de Zone 

Cette operation supprime de la serrure le3 Zones 
specifiers dans l'operande. Toutefois, la Zone d'urgence ne peut 
etre supprim£e d'une serrure ; le fait d'essayer de le faire 
invalide toute la carte. 

p. AUTRES CARACTERISTIQUES DE PROTOCOLB FLEXIBLE 
1 . Compatibility Haut/Bas 

Le present protocole flexible est congu pour que cles 
sous-messages individuels dans le champ de messages a 36 octets 
comprenant les sous-me3sages Zone, Sequences, Lockno (nuroero de 
serrure) Timespec (specifications temporelles) et Actions, compren- 
nent chacun un Opcode (code d' operation) qui occupe une longueur 
specif iee selon son type et le type d'operande. La longueur ainsi 
que le type d'operande est specif iee par 1' Opcode. Ainsi, en 
specifia.it sa propre longueur et la longueur de l'op^rande, 
1* Opcode specifie completement la longueur totale du sous-message 
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opt ionnel lenient par Tiroespec. Chaque carte Une Fois contient une 
2one et une sequence par ticulieres et contient eg a 1 eaten t des 
numeros Une Fois fournis sequentiellement. Chaque serrure est 
progr.»mmee pour s'ouvrir si le numero de la sequence sur la carte 
Une Fois est super iour au numero de la sequence Une Fois de la 
serrure et remplace ensuite son numero tie sequence Une Fois par le 
numero de la carte. Ainsi, chaque nouvelle utilisation d'une carte 
Une Fois convena element mise en sequence bloque toutes les cartes 
Un«> Fois precedentes, qu'elle soient validement d£livrees ou non. 

Par oxemple, si la reception de 1' hotel fournit une 
premiere carte Une Fois pour la vrhambre 201 a un fleuriste, 
fournit ensuite une seconds carte a un telegraphiste puis fournit 
une troisieme carte a un livreur d f epicerie et que le livreur 
d'epicftrie va directement a la chambre 201 alors que le fleuriste 
et le telegraphiste retardemt leur livraison, 1 ' utilisation de la 
troisieme carte bloque non seulesient cette carte ma is ega lenient 
toutes les cartes precedentes meme si ces cartes precedentes n'ont 
pas ete utilisees- 

Une serrure contenant la carte d'option supplementaire 
horloge/calendrier peut en outre limiter la carte a une couverture 
de Tiroespec, par exemple des periodes temporelles particulieres. 
En outre, des cartes Une Fois peuvent etre etablies pour l'un 
quelconque ou tous les niveaux de 2 a 9 d'une serrure 
individuelle, seulement sous la condition qu'elles soient convena- 
blement delivrees en accord avec leurs sequences presentes pour 
les differents niveaux. 

3 Acces multiples ; Proqrammation et Action de combinaison . 

La possibilite de programmer des sous-messages multi- 
ples sur une carte donnee trans forme ef f ectivement la carte en un 
porte-clef sur lequel chaque sous -message reoresente une clef. 

En outre, des fonctions de progr animations et des 
actions de clefs peuvent etre *.?ombinees sur une carte et peuvent 
etre validees par la meme zone ou des zones differentes. 
G CIRCUIT ELECTRON I QUE DE COMMAND E DE SERRURE. 

Comme cela est represents schema tiquement en figure 
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10, le circuit de comma nde principal 50 de la serrure electronique 
30 coraprend un roicroprocesseur 51 et cinq parties principales qui 
presenter! t des interfaces avec l*ordinateur : un circuit d' alimen- 
tation 52 j un circuit de reveil 53 ; des entrees de serrure 54 j 
des sorties de serrure 56 ; et une interface 57 pour une carte 
d' option supplementaire. 

La serrure est concue pour fonctionner avec des 
micro-ordinateurs tels que le HD63O5V0 ou le 68HC05C4, qui. sont 
sens ib lenient identiques, comprennent 4096 octets de ROM et 192 
octets de RAM et quatre acces d' en tree/ sortie (I/O) par alleles : 
PA 0-7, PB 0-7, PC 0-7 et PD 0-7. Le circuit d* alimentation 52 
represents au coin inferieur gauche de la figure comprend une 
source d ' alimentation de six volts 58, de preference sous la forme 
de piles au lithium ou alcalines qui sont connectees par 1 ' interme- 
diaire d'une fiche 59 au micro-ordinateur 51 et aux autres parties 
du circuit de cansnande. Quand i.L est en sommeil (1'horloge ne 
fonctionnant pas), le micro-ordinateur 51 fonctionna a tres faible 
puissance, de l'ordre de 10 uA ( micro- ampere ) . Le circuit 
d* alimentation 52 est divise en 5 bus d' alimentation VBATT, VW + , 
VM + , VB + , et VS + dans le but d* assurer une longue duree de vie a 
la source d 1 alimentation 58 pour ma in ten ir le contenu de la 
me moire RAM du micro-ordinateur quand les batteries sont enlevee 
ou usees. Ceci est effectue essentiellement pour main ten ir 
l'enregistreraent du suivi de verification du micro-ordinateur- On 
not era que comme un "ordinateur" contient un " process eur" les deux 
ter roes peuvent etre utilises ici parfois l'un pour 1» autre. En 
particulier, le micro-ordinateur 51 peut etre appel£ microproces- 
seur 51 quand e'est la fonction de processeur qui est diacutee ou 
mise en luraiere. 

Le bus d* alimentation VBATT a\imente directement un 
transistor 61 qui est connecte a un condensateur 62 de grande 
capacite pour charger le condensateur a la tension de batterie. 
Actuel lenient, un condensateur de 15 000 uF (microfarad) 62 est 
utilised Comaie cela sera deer it ci-dessous, le condensateur 62 «st 
utilise pour fournir des impulsions a un solenolde 78 pour 
effectuer le bloc age et le deblocage du pene 33 du la figure 4- 
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Le deuxieme bus, V*T, alimente le micro-ordinateur 51 , 
le circuit de reveil 53, et les circuits in teg res CMOS a basse 
puissance tels que 66, 67 et 68. Le bus VM + est alimente a partir 
d'un condensateur de forte valeur 69 pour maintenir 1' alimentation 
5 vers le microprocesseur 51 et sa memoire vive (RAM) pendant au 

mo ins dix heures dans le cas ou les batteries auraient ete 
enlevees ou fonctionneraient roal. 

Le troisieme bus, VW + alimente le coinmutateur de 
reveil 71 pour activer selectiveroent le micro-ordinateur 51 

10 pendant une duree predetermined pour lire et mettre en oeuvre les 

instructions de carte et actionner la serrure 30. Pendant un etat 
d* enlevement ou de mauvais f onctionnement de batterie, il est 
necessaire de maintenir le microprocesseur dans son etat de repos, 
"de sommeil", pour minimiser la cons omrnat ion de puissance et 

15 augmenter ainsi la duree pendant laquelle le condensateur 69 peut 

maintenir 1 'alimentation sur le microprocesseur-. Le circuit de 
reveil 53 a une configuration propre a empecher 1 'actionnement ou 
le reveil du microprocesseur 51 pendant cette duree. VW + n'est pas 
associe a un condensateur de maintien et est isole par une diode 

20 de 1* autre bus (1'emetteur du transistor 61 agit comme diode dans 

ce but). 

Le bus VS + est utilise pour commander les dispositifs 
a fort courant qui ne comprennent pas de coinmutateurs separes (qui 
ne sont pas commandes individuellement tels que, par exemple, le 

25 lecteur de carte de serrure et le circuit detecteur de baisse de 

batterie. Le bus VS + lui-meme est connecte par une ligne ENAB VS + 
a une sortie PAD du micro-ordinateur pour commuter la tension de 
bus en arret/raarche. 

Enfin, le bus VB + alimente les LED d'etat 36, le 

30 vibreur 40 et le relais 80. 

Comme cela a 6te raentionnd, le f onctionnement du 
microprocesseur 51 est initialise par le circuit de reveil 53 du 
fait que l'on insere la carte 32 dans le lecteur de carte de la 
serrure. Tandis que la carte 32 est poussee dan3 la fente 38 du 

35 lecteur, figure 4, le commutateur de reveil 71 est ferme pour 

appliquer la tension a partir du bus VW + a 1' entree IN-A de la 
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moitie superieure 66 d'un circuit monos table 65. Le circuit 
mon os table superieur 66 fournit une impulsion cons tan te d'une 
milliseconde quand il est actionne et excite 1* entree RESET du 
micro-ordinateur pour remettre k zero le microprocesseur eveille. 
Le circuit inferieur 67 du monos table 65 est concu pour avoir une 
seconde duree, par exemple trente secondes, ce qui est plus long 
que la plus grande duree pendant laquelle le microprocesseur est 
actif avant <3e revenir a son etat de repos. 

les interconnexions representees entre les circuits 
monos tables superieur et inferieur et le microprocesseur 51 ont 
une configuration telle que, quand le commutateur de reveil 71 
fournit une impulsion au circuit monostable superieur 66, 1* impul- 
sion d'une milliseconde sur la broche de sortie Q est fournie a la 
broche RESET du microprocesseur et est ega lenient appliquee a 
1* entree IN— A du circuit monostable inferieur 67, declenchant 
ainsi le circuit inferieur pour produire son impulsion de 30 
secondes sue sa sortie Q. Cette derniere impulsion est reappliquee 
a la broche d' en tree ENAB du circuit monostable superieur pour 
invalider le circuit superieur, e'est-a-dire pour empecher le 
circuit superieur de se declencher a nouveau. Le circuit 
monostable superieur 64 est invalide pendant la seconde duree de 
30 secondes de 1* impulsion de sortie sur la moitie inferieure, 
e'est-a-dire tant que le circuit inferieur est encore en temporisa- 
tion et le microprocesseur ne peut pas etre remis a zero par 
inadvertance pendant cette peri ode. 

Juste avant que le microprocesseur ne revienne a son 
etat de repos, il fournit une impulsion de sortie ENAB 30/SEC 
TIMER (valider le temporisateur de 30 secondes) par l'interme- 
diaire de sa sortie PC6 qui est appliquee a 1* entree ENAB du 
circuit monostable inferieur 67 pour remettre a zero ce circuit 
qui revalide a son tour le circuit monostable superieur 66. 

En resume, alors, le circuit de reveil 53 assure trois 
actions importantes. Premierement, le circuit monostable superieur 
66 active ou reraet a zero le microprocesseur 51 quand une carte 
est poussee dans le lecteur de la serrure. Deuxiemement , le 
circuit monostable inferieur 67 invalide le circuit superieur a 
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l'encontre d 'operations de remise a zero supplementaires pendant 
une duree predetermined apres cette operation de remise a zero 
initiale pour permettre un fonctionnement ininterrompu du micropro— 
cesseur. Troisiemement, le microprocesseur lui-meme assure le 
fonctionneroent prior itaire de cet etat d 1 invalidation a la fin 
d*un cycle de fonctionnement. En consequence, la fermeture du 
comiMitateur de reveil 71 (par 1* insertion d'une carte) peut 
activer le circuit de reveil 53 pour remettre a zero le 
microprocesseur 51 pour coramencer un autre cycle de fonctionnement 
ou pour achever la survenance peut probable d'une operation 
parasite. 

Les entrees de serrure 54 comprennent une interface de 
lecteur de carte 74 entre le lecteur de carte de la serrure et le 
microprocesseur 51. Une bascule 76 memorise temporairement les 
donnees incidentes pour laisser plus de temps pour obtenir les 
bits, de sorte que ceci peut etre fait en la duree d'un bit 
ulterieurement . 

Le pine 33 (figure 4) est actionne par un poussoir 
sollicite magnet iquement (non represente). Le solenolde 78 (figure 
10), regoit des impulsions de facon reversible en dechargeant le 
■ condensa teur 62 par 1 • intermediaire d'un transistor de puissance 
79 sous la comma nde du relais 80. Dans son etat normal non actif, 
le relais 80 etablit la polarite du solenolde 78 pour 
deverrouiller la porte. Quand il est actionne par une impulsion 
DIR a partir de la sortie PA 3 du micro-ordinateur, le relais 80 
inverse la polarite pour liberer le solenolde pour reverrouiller 
la porte. 

Puis que la porte n'est pas reverrouillee automat ique- 
ment, il est tres important pour le micro-ordinateur de savoir 
quand le levier 41 a ete actionne ou libere de sorte qu'il peut 
ef-fectuer un actionnement en impulsion inverse du poussoir pour le 
liberer et reverrouiller la porte et empecher ainsi une entree non 
autorisee. Cette fonction de protection est realisee par un 
comxnutateur optique 8 5 qui est monte dans la serrure 30 et 
comprend une diode photoemettrice dans l'infrarouge 81 et un photo- 
transistor 82 qui sont connectes par une fiche 83 au micro-ordina- 
teur. La sortie PCS du micro-ordinateur 51 commande 1 'actionnement 
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d'un amplificateur 90 appliquant une impulsion.de validation sur 
une ligne ENAB OPTO SW {valider commutateur optique) pour activer 
la LED 81. La LED 81 et le transistor 82 sont disposes de sorte 
que le rayonneraent infrarouge en provenance de la LED dirige vers 
le phototransistor est normalement interrorapu par le levier 41. 
Toutefois, quand le levier est amene a pivoter pour ouvrir la 
porte, il est enleve du trajet du rayonnement infrarouge et le 
rayonnement incident amene le transistor 82 a produire un signal 
de sortie qui est applique a 1' entree PD1 du micro-ordinateur, 
amenant le micro-ordinateur a alinienter le relais 80 pour deconnec- 
ter le- poussoir du levier 41. Le commutateur de verrou 86 
surveille simplement la poussee du verrou 34, figure 4, sur la 
serrure et envoie cette information d'etat au microprocesseur en 
PDO. 

Le circuit, de sortie de serrure 56 comprend les 
sorties PA1 a PA3 pour realiser 1 » actionnement sus-raentionne du 
solenoids. En outre, les sorties PA4 a PA6 sont utilisees pour 
eclairer les LED d'etat 36 et la sortie PC7 est utilisee pour 
provoquer 1* actionnement du vibreur 40. 

La tension de charge appliquee au condensateur 62 par 
le transistor 61 est surveillee par un conducteur LOW BATT SENSE 
(detection de chute de batterie) connecte a 1' entree inverseuse du 
circuit de comparateur 72 qui a une configuration tres similaire a 
celle d»un amplif icateur opera tionnel . Une diode Zener 87 fournit 
25 une tension de reference stable de par exentple 3,3 volts pour 

1* entree non inverseuse du comparateur 72. La tension de charge 
sur laL ligne LOW BATT SENSE est appliquee a 1» entree non 
inverseuse par l'intermediaire d'un diviseur de tension 89 pour 
appliquer une tension a 1* entree inverseuse qui est super ieu re ou 
30 egale a la tension a 1* entree de reference quand la tension de 

charge est super ieure ou egale a un niveau de seuil desire 
(tension de batterie minima le) . Ainsi, la sortie du comparateur 72 
est appliquee a 1 'entree PD2 du microprocesseur et est utilisee 
pour de teeter un etat de batterie insuffisante vrai ou faux. 
35 En fait, la sortie est utilisee de deux facons 

differentes. D'abord, elle est utilisee pour surveiller a tout 
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instant donne une charge sur le condensateur 67 de sorte que le 
microprocesseur 51 peut raaintenir le condensateur dans un etat de 
pleine charge. Ceci assure un Eonctionnement instantane du 
solenoxde quand une carte est poussee dans le lecteur de .la 
serrure. Deuxiemement, le temps necessaire pour charger le 
condensateur 62 fournit une indication de I'etat de charge de la 
batterie. Une duree de charge de 5 RC ou RC est la cons tan te de 
temps associee a la resistance 64 et au condensateur 62, fournit 
norma lement une charge a 99 % sur le condensateur en utilisant une 
batterie normalement chargee. Ainsi, si la duree de charge 
determinee par le micro-ordinateur 51 depasse 5 RC, un etat de 
batterie insuffisant est detecte et les piles doivent etre 
remplacees . 

H. CARTE D'OPTIONS SUPPLEMENTA I RES 

Le schema de la figure 13 represents une carte 
d'options supplementaires optionnelle hor loge/calendrier 105. 
Cette carte est enfichee dans la carte de commande principale 50 
au moyen de 1' interface de carte d'options supplementaires 57 et 
ajoute des caracteristiques et des possibilites supplementaires a 
la serrure 30. 

L' interface de carte d'options supplementaires 57 
n'est pas spdcialisee en ce que plusieurs types distincts 
d'options, incluant, sans limitation, une carte d'option horlo- 
ge/calendrier, une interface infra rouge "oidirectionnelle, et une 
interface eleva trice peuvent etre enfiches dans la carte de 
circuit principal 50 sans changement quelconque a cette derniere. 

La carte d'option horloge/calendrier 105 est 
constitute de quatre parties : un circuit d' alimentation 106 > une 
horloge/calendrier/RAM CMOS 107 \ un numero d*i serie de site 108 
et une interface serie 109. 

Chaque carte optionnelle est alimentee a partir du 

circuit de comma nde principal 50 par 1 * intermediaire des conduc- 

teurs d • alimentation de carte optionnelle VBATT et VS + . Sur la 

carte d'options supplementaires horloge/calendrier, VBATT est 
+ +■ 

partage en deux bus VB et JC , qui sont isoles par des diodes 110 
et 111. VB + est alimente seulement si VBATT est alimente. 
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c'est-a-dire quand les piles 58 sont enfichees dans la carte du 
circuit principal- VC + comprend une capacite de maintien 
import ante (1 farad) 112 pour main ten ir une alimentation de 
securite vers la RAM CMOS d'horloge/calendrier 107 meme si les 
piles sont enlevees pendant dix heures ou plus. Le bus d* alimenta- 
tion VS + est valide par le micro-ordinateur 51 par 1 ' intermedia ire 
du transistor 70 sur la carte de circuit principal et est coupe 
quand le micro-ordinateur est en sonaneil. 

Le circuit RAM CMOS horloge/calendrier 107 utilise un 
circuit integre commercialenient disponible 113 pour fournir des 
fonctions temporisees pour la serrure et pour marque r et memoriser 
la date et l'heure dans jusqu'a neuf entrees de suivi de 
verification dans ses 50 octets de RAM CMOS. 

La puce RAM d'horloge/calendrier est normal erne nt dans 
un mode de repos quand la serrure est en sommeil, en raison du 
fait que le signal VS + a bas niveau araene la broche STBY a etre a 
bas niveau. Quand le micro-ordinateur "s'eveille" il amene VS + a 
haut niveau, validant les autres broches d' entree/ sortie (I/O) de 
la puce horloge/calendrier* du, circuit de nuraero de serie de site 
108 et de 1' inter face serie 109. Le conducteur PA 7 de 1* interface 
de carte d' options supplementaires 57 choisit ou bien la puce RAM 
horloge/calendrier quand PA 7 est a haut niveau ou bien le circuit 
de numero de serie de site quand PA 7 est a bas niveau. Les 
conducteurs PC 0 a PC 3 fournissent des lignes de commande 
supplementaires pour la puce RAM horloge/calendrier et des 
conducteurs PB 0 a PB 7 fournissent des adresses et des donnees a. 
la puce RAM d'horloge/calendrier et des donnees pour le circuit de 
nuraero serie de site. 

Des portes 114 et 115 inhibent une interruption 
externe (0BIRQ) vers le micro-ordinateur quand les piles sont ■ 
enlevees . en raison du fait que VB + passe a bas niveau invalidant 
la porte ET 115. Cette caractdristique est analogue a 1' invalida- 
tion du commutateur de reveil 71' sur la carte principale quand les 
piles sont enlevees par suite du fait que le bus d* alimentation 
VW + passe a bas niveau. Dans les deux cas, le but est de ne pas 
autoriser le micro-ordinateur a s'eveiller quand les batteries 
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sont en levees, par suite d'une impulsion RESET ou IRQ, ce qui 
amenerait le condensateur 69 a se decharger trop rapidement. 

Le circuit de numero de serie de site 108 fournit un 
numero de serie code en materiel de 8 bits, speci'ique a chaque 
installation. Le numero est code en coupon t une ou plusieurs des 
pistes de numero de serie de site 116- Le micro-ordinateur adapte 
le numero de serie de site materiel a 8 bits avec 8 des 16 bits 
dans le numero de serie de site logiciel sur la carte d' initialisa- 
tion , empechan t ainsi une carte d ' initialisation d 'une 
installation d'etre utilisee ailleurs (il y a seulement 1 chance' 
sur 254 pour que cela marche - puisque les numeros serie de site 0 
et 255 sont ignores - et permette a une carte d' option sans piste 
coupee de s* adapter a toute carte d* initialisation si on le 
souhaite) . 

Le numero de serie de site est lu en appliquant 
1* alimentation VS + a un circuit ntultiplexeur 117, le conducteur de 
selection PA 7 etant k bas niveau. Les donnees sont alors lues sur 
les conducteur s PB 0 a PB 7. 

L ' interface serie 109 sert d' interface entre le 
micro-ordinateur 51 et un terminal portable* tel que le terminal 
de la societe NEC numero 8201 A. Le terminal portable est utilise 
pour decharger des informations de suivi de verification a partir 
de la puce RAM d 'horloge/calendrier (telles que la date et l'heure 
des dernier s essais de carte (avec succes ou non) pour acceder a 
la serrure) et pour regler I'horloge dans la puce RAM horloge/ca- 
lendrier directement, au lieu de le faire par 1 * intermediaire 
d'une carte de prog rammat ion coupee au niveau de la console. Le 
conducteur CLK1 fournit une horloge synchrone pour des donnees 
d'emission (sur le conducteur TXD1 ) et regoit des donnees 
(conducteur RXDl ) . Les transistors 118 et 119 fournissent un 
courant suffisant pour commander les conducteurs de sortie. 

On a decrit des modes de realisation particuliers du 
sy steme de verrouillage electronique selon la presente invention 
comprenant la caracteristique specif ique de separation entre les 
fonctions de securite et de message de donnees ainsi qu'un systeme 
de cryptographic a clef publique et un protocole flexible qui sont 
utilises pour actionner le systeme de verrouillage. L'homme de 
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I'art pourra faci lenient en deduire diverses variantes qui restent 
dans le doroaine de 1* invention. 
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REVEND ICATIONS 

1. Procede pour effectuer selectivement l'actionnement 
d'une serrure electronique commandee par ordinateur, caracterise 
par la validation d'un message de donnees codees dans un milieu de 
memorisation portable presente a la serrure, et caracterise en 
outre par les e tapes suivantes : r. 

(a J appliquer une clef de cryptographie privee pour 
coder le message de donnees » 

(b) memorisrsr le message de donnees codees dans le 
milieu de memorisation portable » 

(c) utiliser 1* ordinateur de la serrure, en appliquant 
une clef de cryptocraphie publique pour decoder le message de 
donnees codees et determiner son authentic! te ; et 

(d) si le message est authentique, actior.ner la 
serrure en conforroite avec le message de donnees memorisees . 

2. Procede selon la revendication 1, comprenant en 
outre l'actionnement de la serrure sur la base d'un milieu fourni 
sequent ie 11 ement independamraent du defaut d' utilisation d'un autre 
milieu fourni precedemment dans la sequence, caracterise^ en ce 
qu'il comprend les e tapes suivantes : 

- fournir a la serrure un numero de sequence (S^) ; 

- fournir au milieu un numero de sequence (S c > t 

- comparer a S^, ; et 

- si S = S ouvrir la serrure. 

C L 

3. Procede selon la revendication 1 , comprenant en 
outre 1' operation de mise en oeuvre de la serrure sur la base d'un 
milieu fourni sequentiellement independamment du defaut d'utilisa- 
tion de tout milieu fourni precedemment dans la sequence, 
caracterise en ce qu'il comprend les etapes suivantes : 

- memorise r un nombre de pont (b) dans la serrure ; 

- munir la. serrure d'un numero de sequence (S^) ; 

- munir le milieu du numero de sequence (S c ) ; 

- comparer (S L ) a (S c > ; 

- si 0 .< (S - S > < b, ouvrir la serrure ; et 

* f* i. 
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si 0 < (S c - S L > < (b) mettre a jour S L a S c - 

4. Precede selon la revendication 1, camprenant en 
outre 1* operation de mise en oeuvre de la serrure sur la base d*un 
milieu fourni sequentiellement, independarament du defaut d" utilisa- 
tion de tout milieu fourni anterieurement dans la sequence, 
caracterise en ce qu'il comprend les eta pes suivantes : 

fournir un numero de pont negatif dans la 

serrure t 

nrunir la serrure d'un numero de sequence ^ s l^ » 
raunir le milieu du numero de sequence * s c * ' 
comparer a } et 

si S est inferieur a S, d*une difference non 
C L 

superieure a b * ouvrir la serrure. 
n 

5. Precede selon la revendication 4, caracterise en ce 
qu'il coraprend en outre l'etape consistant a mettre a jour a S c 

si S„ est super ieur a S . 
c It 

6. Procede selon 1'une quelconque des revendications 1 

a 5, caracterise en ce que la clef publique est n et est le 
produit de la clef priv£e, deux entiers premiers (pq) ; le message 
de donnees est rn ; le message code est x, choisi de sorte que (x J 
rood n = sa) ; et l'etape de decodage du message de donnees iraplique 
la realisation de la fonction x 1 mod n. 

7. Sy steme de serrure adapte a fonctionner sur la base 
du codage et de la verification d*un message de donnees porte par 
un milieu d'enregistrement discret telle qu'une carte magnetique 
(32), caracterise en ce qu'il comprend : 

un premier moyen d'ordinateur adapte a -appliquer une 
clef cryptograph ique privee pour coder le message de donnees j 

des raoyens (27) pour ecrire le message de donnees 
codees sur le milieu » 

des moyens de serrure (30) camp r on ant un pene (33), 
cette serrure agissant en reponse a la verification du message de 
donnees codees pour ouvrir le pene ; et 

un second moyen d'ordinateur dans la serrure pour 
appliquer une clef de cryptographie publique au message de donnees 
codees pour verifier le message de donnees. 
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8. Systeaie de serrure selon la revendication 7, 
caracterise" en ce que la clef publique est n et est le produit de 
la clef privee, deux en tiers premiers pq ; le message de donnees 
est ra ; le message codee est x choisi de sorte que x 1 mod n = m ; 

5 et la verification du message de donnees codees est obtenue a 

partir de x a mod n. 

9. Serrure electronique selon l'une des revendications 
7 ou 8, caracterisee en ce qu'elle comprend en outre : 

(a) un moyen d * actionnement pour faire sortir ou 
10 retracter le pene (33) ; 

(b) un moyen de solenoide (78) pour relier selective— 
raent, le verrou au moyen d a actionnement ; 

(c) un premier condensateur (62) pour fournir du 
courant au moyen de solenoxde pour actionner ce moyen de 

15 solenolde ; 

(d) le second moyen d'ordinateur coraprenant un moyen 
de microprocesseur (51) adapte a commander 1 * application du 
courant sur le solenolde pour connecter et deconnecter selective- . 
ment le pene au moyen d* actionnement ; 

20 (e) un premier bus d 1 alimentation (VM + ) pour fournir 

line alimentation au microprocesseur et comprenant un second 
condensateur (69) pour alimenter le microprocesseur dans le cas de 
defaut de fonctionnement du premier bus d* alimentation t et 

(f) un second bus d* alimentation (VBATT) adapte a 
25 alimenter le premier condensateur. 

10. Serrure electronique selon la revendication 9, 
caracterisee en ce que le microprocesseur comprend une sortie pour 
fournir une premiere impulsion a un instant predetermine pendant 
ou a la fin d'un cycle de fonctionnement, et en ce que la serrure 

30 comprend en outre : 

(g) un premier moyen monos table (66) actionnable pour 
applique r une seconde impulsion au microprocesseur pour rente ttre a 
zero le microprocesseur a un etat actif a partir d'un etat de 
repos ; 

35 (h) un second moyen monostable (67) connecte entre le 

premier moyen monostable dans le microprocesseur et actionnable 
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par la secohde impulsion pour appllquer une troisieme impulsion au 
premier moyen monos table pour invalider le premier moyen 
monos table pendant la duree, ce second moyen monos table etant 
connecte a la sortie du microprocesseur pour etre valide par la 
premiere impulsion pour revalider le premier moyen monos table t 
(i) un troisieme bus d' alimentation (vw + ) j et 
(j) un commutateur (71) pour relier selectivement le 
troisieme bus d* alimentation au premier moyen monos table pour 
actionner le premier moyen monos table et appliquer ladite seconde 
impulsion. 

11. Serrure electronique selon la revendication 10, 
caracterisee en ce qu'elle comprend en outre : 

(k) un moyen comparateur (72) ayant une sortie 
connectee au microprocesseur et ayant une entree de non - inversion 
connectee a une premiere tension de reference (87) ; 

(1) un moyen diviseur de tension (89) connecte* entre 
le premier condensateur (62) et une entree d' inversion du moyen 
comparateur pour fournir une seconde tension sensiblement egale a 
la premiere tension quand une tension du second bus d* alimentation 
d'un niveau minimum predetermine est appliquee au premier condensa- 
teur pour produire un signal de sortie de comparateur vers le 
microprocesseur de fag on indicative du niveau de tension du second 
bus d* alimentation. 

12. Serrure electronique selon la revendication 1 1 r 
caracterisee en ce qu'elle comprend en outre : 

(m) une resistance (64), le premier condensateur (62) 
et cette resistance etant connectes au second bus d 1 alimentation 
pour fournir une cons tan te de temps (RC) ; et 

(n) des. raoyens pour detecter quand la sortie du 
comparateur depasse un nombre predetermine de cons tan tes de temps 
(RC>. 
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